David Matalon, CEO a zakladatel Venn – Interview Series

David Matalon, CEO a zakladatel Venn, je zkušený podnikatel s dlouholetou historií budování bezpečných podnikových technologií, dříve vedl OS33 – jednu z prvních firem, která nabízela zabezpečené pracovní prostory pro finanční instituce, a External IT, průkopníka v oblasti hostovaných IT služeb. S Venn se zaměřuje na předefinování bezpečnosti vzdálené práce tím, že umožňuje organizacím přijmout modely Bring-Your-Own-Device (BYOD) bez ohrožení souladu nebo kontroly, využívaje svých hlubokých zkušeností v oblasti cloudové infrastruktury, zabezpečení koncových bodů a regulovaných odvětví, aby řešil rostoucí výzvy distribuovaných pracovních sil.

Venn je kyberbezpečnostní a vzdálená pracovní platforma navržená k zabezpečení firemních dat na osobních a nespravovaných zařízeních prostřednictvím své patentované technologie Blue Border™, která vytváří zabezpečenou, šifrovanou enklávu na uživatelském počítači, kde jsou pracovní aplikace a data izolována od osobních aktivit. Na rozdíl od tradiční virtuální desktopové infrastruktury umožňuje Venn aplikacím běžet místně s nativními výkony, zatímco vynucuje přísnou ochranu dat a soulad s předpisy, pomáhaje organizacím snižovat IT náklady, rychle nasazovat vzdálené pracovníky a udržovat soukromí oddělením firemního a osobního prostředí na stejném zařízení.

Vy jste strávil více než dvě desetiletí budováním technologií pro zabezpečenou vzdálenou práci, od spuštění Offyx v raných dnech poskytovatelů aplikací až po založení OS33 a nyní Venn. Jaké zkušenosti z předchozích firem vás vedly k vybudování Venn a jak tyto zkušenosti ovlivnily myšlenku za Blue Border™ a vaši vizi pro zabezpečení moderních pracovních sil BYOD?

Během posledních dvou desetiletí jsem měl možnost budovat firmy v různých fázích vývoje vzdálené práce. V OS33 jsme strávili roky dodáváním zabezpečených vzdálených pracovních prostředí prostřednictvím hostované infrastruktury, která využívala technologii podobnou virtuální desktopové infrastruktuře (VDI). Zatímco bezpečnostní model fungoval, neustále jsme dostávali stejnou zpětnou vazbu od zákazníků: zkušenost s používáním vzdáleně hostovaných aplikací byla často pomalá, složitá na údržbu a frustrující pro uživatele.

Tato zpětná vazba byla zlomovým bodem. Vzdálené hostování zavedlo nevyhnutelnou latenci a vyžadovalo významnou infrastrukturu, což vytvořilo provozní složitost pro IT týmy. Začali jsme klást jednoduchou otázku: co kdybychom mohli úplně odstranit hostování? Místo běhu práce někde jinde a streamování ji uživateli, mohli bychom zabezpečeně běžet práci místně na uživatelském zařízení, zatímco chráníme firemní data?

Tato myšlenka nakonec vedla k Venn a konceptu za Blue Border. Místo vynucování práce prostřednictvím vzdáleného hostování a virtualizace jsme vytvořili nový model, který umožňuje firemním aplikacím běžet místně na uživatelském laptopu, zatímco firemní data zůstávají šifrovaná a chráněná. I na osobním laptopu zůstává práce izolována a chráněna od osobních aktivit.

Umělé inteligence se šíří po podnicích rychleji, než mohou politiky držet krok. Z vašeho pohledu, proč se řízení nedokázalo držet krok s přijetím umělé inteligence uvnitř organizací?

Rižení se nedokázalo držet krok s přijetím umělé inteligence, protože technologie se stala každodenním nástrojem téměř přes noc. V posledních letech, od chvíle, kdy ChatGPT explodoval, zaměstnanci začali začleňovat umělou inteligenci do svého života a pracovních postupů. Nečekají na formální schvalovací cykly IT; již nyní používají umělou inteligenci k psaní rychleji, analýze informací, shrnutí schůzek nebo generování kódu během sekund. Ve většině organizací probíhají tvorba politik, právní přezkum, bezpečnostní ověření a nasazení IT na mnohem pomalejším časovém horizontu než uživatelské chování. To je mezera, ve které se řízení umělé inteligence zaostává.

Hlubší problém spočívá v tom, že mnoho organizací se snaží aplikovat včerejší model kontroly na dnešní realitu umělé inteligence. Tradiční řízení bylo postaveno na schvalování nebo blokování známého souboru aplikací, ale umělá inteligence je nyní zabudována v prohlížečích, platformách SaaS a dokonce i v operačních systémech. Řízení musí evoluvovat za hranice kontroly předem stanoveného nástrojového souboru a zaměřit se na ochranu dat, kdekoliv se nacházejí, zabezpečení pracovního prostředí a definování podmínek, za kterých lze citlivá informace bezpečně použít.

Mnohé společnosti se snaží vyřešit problém omezováním nebo zákazem generativních nástrojů umělé inteligence. Proč věříte, že tento přístup selhává v praxi, a jaké neúmyslné bezpečnostní rizika může vytvořit?

Omezení selhávají, protože ignorují realitu, jak lidé pracují. Zaměstnanci najdou způsoby, jak používat nástroje umělé inteligence, bez ohledu na oficiální schválení. To vytváří stínovou umělou inteligenci, nebo neoficiální použití nástrojů, osobních účtů, workflow kopírování a vkládání a prohlížečových interakcí, které mohou probíhat mimo schválený dohled. Společnost pak ztrácí přehled, čímž ohrožuje svá citlivá data.

V mnoha případech mohou restriktivní politiky zvýšit riziko, místo aby je snížily. Když zaměstnanci nemohou používat tyto nástroje bezpečně, často najdou způsoby, jak je obejít. Citlivá firemní data mohou skončit v nástrojích, které IT nebo bezpečnostní týmy nekontrolují nebo nezajišťují. Lepší přístup není zákaz pro sebe sama, ale umožnění bezpečného použití prostřednictvím izolace, kontrol dat a jasných mantinelů, které umožňují podnikání pokračovat bez ohrožení kritických informací.

Schopnosti umělé inteligence jsou stále více zabudovávány do každodenních aplikací, spíše než existují jako samostatné nástroje. Jak tato změna mění způsob, jakým bezpečnostní týmy by měly uvažovat o monitorování a kontrole expozice dat?

Tato změna je významná, protože rozbitá stará mentální mapa „rizikové aplikace versus schválená aplikace“. Pokud je umělá inteligence zabudována do e-mailu, CRM, konferenčního softwaru, editace dokumentů a vyhledávání, pak expozice dat již není spojena s tím, zda uživatel otevře samostatný nástroj umělé inteligence. Je spojena s tím, která data jsou přístupná uvnitř aplikace, jaký kontext může umělá inteligence vidět, a zda tato interakce probíhá uvnitř zabezpečeného pracovního prostoru.

V důsledku toho musí bezpečnostní týmy zaměřit svou pozornost na ochranu dat, spíše než na úplné uzamčení zařízení. Zaměřit se na izolaci pracovních relací, kontrolu kopírování a stahování, kde je to vhodné, zabránit úniku napříč osobními a firemními kontexty a zajistit, aby citlivá informace zůstala uvnitř chráněného prostředí.

Technologie Blue Border od Venn izoluje pracovní aplikace a data místně na uživatelském zařízení, místo aby se spoléhala na tradiční virtuální desktopovou infrastrukturu. Jak tato architektura fundamentálně mění model zabezpečení koncových bodů pro vzdálenou práci?

Blue Border fundamentálně mění model zabezpečení koncových bodů, protože se posouvá za hranice myšlenky, že zabezpečení vyžaduje buď úplnou kontrolu nad zařízením, nebo virtualizované desktopové prostředí. Tradiční VDI zabezpečuje práci hostováním ji vzdáleně a streamováním ji uživateli. Blue Border zabezpečuje práci přímo na uživatelském zařízení, vytváří IT-kontrolovanou zabezpečenou enklávu, kde aplikace běží místně a firemní data zůstávají izolována a chráněna.

Výsledkem je jiný bezpečnostní model pro vzdálenou práci, ve kterém mohou společnosti vynucovat ochranu kolem samotné práce, bez vydávání firemních zařízení nebo nutnosti uživatelů řešit zpoždění a latenci, které přicházejí s hostováním desktopu v cloudu.

Ze seguridadního architektonického hlediska se model posouvá od kontroly celého koncového bodu nebo centralizace bezpečnostních protokolů k ochraně pracovního prostoru samotného, kde se nachází. Blue Border zajišťuje, aby citlivá data nikdy neopustila chráněné, místní prostředí, a vynucuje politiku uvnitř této hranice. Zabraňuje úniku na osobní stranu zařízení. Jako výsledek, uživatelé mohou využívat nativní výpočetní a aplikativní výkon a mohou používat osobní zařízení z jakéhokoliv místa na světě, namísto vyžadovaného firemního zařízení.

Mnohé organizace bojují s vyvážením soukromí zaměstnanců a firemní kontroly, když zaměstnanci používají osobní zařízení. Jak mohou bezpečnostní týmy chránit citlivá data, aniž by vytvářely dojem dohledu?

Klíč je chránit práci, ne osobní aktivitu. Zaměstnanci jsou pochopitelně nepříjemně dotčeni, když bezpečnostní opatření mohou zasahovat do jejich soukromých souborů, zpráv, historie prohlížeče nebo osobních aplikací. Na zařízení BYOD záleží důvěra. Pokud společnost nemůže jasně vysvětlit, kde začíná a končí její viditelnost, zaměstnanci předpokládají nejhorší.

Silnější model je ten, který vytváří jasný pracovní prostor pro firemní aktivitu a aplikuje bezpečnostní kontroly pouze uvnitř této hranice. To dává organizaci schopnost chránit firemní data, zatímco zaměstnancům dává důvěru, že jejich osobní aktivita není sledována nebo řízena. Soukromí a bezpečnost nemusí být v konfliktu, pokud je architektura navržena tak, aby je jasně oddělovala.

Vzdálená práce a týmy na základě smlouvy činí prostředí BYOD téměř nevyhnutelnými. Jaká jsou největší bezpečnostní rizika spojená s nespravovanými zařízeními dnes?

Největší riziko spočívá v tom, že nespravovaná zařízení vymazávají hranici mezi osobními a firemními aktivitami. Na stejném stroji může uživatel mít otevřené firemní aplikace spolu s osobními e-maily, spotřebitelskými nástroji umělé inteligence, aplikacemi pro sdílení souborů a nezabezpečenými rozšířeními prohlížeče. Bez zabezpečovací vrstvy je velmi snadné, aby citlivá data byla zkopírována, uložena do mezipaměti, stažena, zachycena na snímku obrazovky nebo vystavena prostřednictvím kanálů, které společnost nekontroluje. Pro organizace, které podléhají předpisům o zabezpečení dat, je to obrovské riziko.

Umělé inteligence a automatizované pracovní postupy začínají interagovat s podnikovými aplikacemi a daty. Jaká nová bezpečnostní rizika tato autonomní systémy zavádějí?

Autonomní systémy zavádějí jinou třídu rizika, protože ne pouze generují obsah, ale také jednají. Nástroje umělé inteligence spojené s podnikovými systémy mohou načítat nebo přesouvat data, aktualizovat záznamy, spouštět pracovní postupy nebo komunikovat externě. To expanduje dopad chyby, nesprávné konfigurace nebo kompromitovaného identitního údaje výrazně za hranice toho, co vidíme u pasivních asistentů umělé inteligence.

To také vytváří nové otázky o přístupu, důvěře a odpovědnosti. Jaká data je agentovi povoleno přístup? Za jakých podmínek může jednat? Jak je tato aktivita zaznamenána, omezena a přezkoumána? IT a bezpečnostní týmy budou muset zacházet s agenty umělé inteligence méně jako s funkcemi softwaru a více jako s privilegovanými digitálními aktéry. To znamená aplikovat principy, jako je minimální práva, segmentace, izolace relace a silná auditovatelnost od samého začátku.

Jakmile organizace začnou integrovat generativní umělou inteligenci do nástrojů produktivity, systémů zákaznické podpory a interních pracovních postupů, jaká citlivá data expozice vás nejvíce znepokojují?

Používání generativní umělé inteligence na pracovišti rozostřilo hranici mezi osobními a firemními daty. Zaměstnanci často přistupují k externím nástrojům, zatímco pracují s firemními informacemi, což činí velmi snadným, aby citlivá data, jako jsou zákaznické záznamy, interní dokumenty, zdrojový kód nebo finanční informace, unikla do externích prostředí. Když firemní data protékají osobními kontexty nebo nespravovanými zařízeními, společnosti ztrácí přehled a kontrolu nad tím, kam tato informace jde, jak je uložena a kdo k ní nakonec přistupuje. Jakmile se umělá inteligence stane zabudovanou do každodenních pracovních postupů, organizace potřebují řešit tuto rozostřenou hranici jasně, zajišťujíc, aby firemní data zůstala chráněna, i když práce probíhá na osobních zařízeních.

Pohledem do budoucnosti, jak vidíte vývoj zabezpečení koncových bodů, když se umělá inteligence stane stále častější v distribuovaných a vzdálených pracovních silách?

Zabezpečení koncových bodů bude muset být mnohem více adaptivní, kontextově vědomé a zaměřené na pracovní prostor. V minulosti design zabezpečení koncových bodů předpokládal spravované zařízení, definovaný firemní perimetr a relativně stabilní sadu firemních aplikací. Budoucnost je distribuovaná, poháněná umělou inteligencí a stále více autonomní. Zabezpečení musí následovat samotnou práci, kdekoliv k ní dochází, bez předpokladu úplné kontroly nad zařízením nebo blokování produktivity.

Vítězný model bude ten, který kombinuje silnou separaci mezi zařízením a citlivými daty, kontextově vědomé přístupové kontroly a architekturu, která zachovává jasnou hranici mezi prací a osobními aktivitami. Organizace potřebují prostředí, ve kterých mohou zaměstnanci, dodavatelé a agenty umělé inteligence pracovat produktivně, ale uvnitř kontrol, které chrání data podle designu. Společnosti, které uspějí, nebudou ty, které se snaží zpomalit přijetí umělé inteligence; budou to ty, které umožňují bezpečné přijetí v měřítku.

Děkuji za skvělý rozhovor, čtenáři, kteří chtějí se dozvědět více, by měli navštívit Venn.